Une nouvelle base juridique pour les entreprises actives en Suisse

Depuis le 1er septembre 2023, les entreprises actives en Suisse opèrent dans un cadre juridique révisé : la loi fédérale sur la protection des données, communément appelée LPD ou nLPD. La loi, initialement adoptée par le Parlement suisse en septembre 2020, rapproche les règles suisses en matière de confidentialité de l'esprit du Règlement général sur la protection des données (RGPD) de l'UE, tout en conservant des caractéristiques typiquement suisses que les entreprises ne peuvent pas simplement copier-coller depuis leurs programmes de conformité au RGPD.

Le moment est important. De nombreuses organisations, notamment des entreprises allemandes avec des filiales, des succursales ou des bases de clientèle en Suisse, ont dû réévaluer leurs pratiques de traitement des données avant l'échéance de septembre. Pour les entreprises qui supposaient que la conformité au RGPD était automatiquement suffisante, la loi suisse sur la protection des données a introduit son propre ensemble d'obligations, de définitions et de mécanismes d'application qui nécessitaient une attention particulière.

Ce qui distingue la loi suisse sur la protection des données

L'un des aspects les plus conséquents de la LPD révisée est sa portée extraterritoriale. La loi s'applique à tout traitement de données personnelles ayant un effet en Suisse, même lorsque ce traitement est initié à l'étranger. Cela signifie qu'une entreprise dont le siège est situé hors de Suisse, y compris en Allemagne ou ailleurs dans l'UE, peut tomber sous la juridiction suisse simplement en traitant des données appartenant à des personnes en Suisse.

Cette portée extraterritoriale fait écho à une tendance plus large dans la réglementation mondiale de la vie privée, où l'emplacement physique d'une entreprise importe moins que l'emplacement des personnes dont les données sont traitées. C'est un concept étroitement lié à ce qui détermine la juridiction VPN pour les outils de confidentialité : le cadre juridique régissant une organisation est façonné par l'endroit où résident ses sujets, utilisateurs ou clients, et non seulement par l'emplacement de ses serveurs ou bureaux. Les entreprises qui ont déjà été confrontées à des questions de juridiction concernant les flux de données transfrontaliers reconnaîtront ce schéma.

Une autre caractéristique notable est la structure des sanctions. En vertu de la loi révisée, les individus, généralement des cadres dirigeants ou des employés responsables, qui violent intentionnellement certaines dispositions peuvent encourir des amendes allant jusqu'à 250 000 CHF. Il s'agit d'un changement significatif par rapport à un modèle d'amendes uniquement corporatives, plaçant la responsabilité personnelle sur les décideurs au sein d'une organisation plutôt que de traiter les violations uniquement comme un coût lié aux activités commerciales.

La pression de la conformité rencontre une réalité plus large en matière de cybersécurité

Les nouvelles obligations légales arrivent à un moment où les entreprises suisses sont déjà confrontées à des pressions réelles en matière de sécurité des données provenant d'une direction différente : les cybercriminels. Des incidents récents impliquant des organisations suisses soulignent pourquoi la conformité réglementaire et la sécurité opérationnelle doivent évoluer ensemble. Un groupe de ransomware se faisant appeler Booba Project a revendiqué la responsabilité d'une attaque contre Zynex, une entreprise basée en Suisse, alléguant avoir exfiltré des données. Par ailleurs, le fabricant suisse de matériel roulant Stadler a été ciblé via une plateforme de fournisseurs et a publiquement refusé de payer une demande de rançon de plusieurs millions de francs du groupe Everest.

Ces incidents rappellent que le droit de la protection des données et la pratique de la cybersécurité sont les deux faces d'une même médaille. Une entreprise peut avoir des politiques de confidentialité bien rédigées et subir néanmoins une violation si ses mesures de sécurité techniques sont en retard. En vertu de la loi suisse sur la protection des données, les organisations sont tenues de mettre en œuvre des mesures techniques et organisationnelles appropriées pour protéger les données personnelles, ce qui signifie que la prévention des violations n'est pas seulement une bonne pratique, c'est une partie du cadre de conformité que les régulateurs examineront après un incident.

Ce que cela signifie pour vous

Si vous dirigez ou travaillez pour une entreprise qui traite des données personnelles liées à la Suisse, que ce soit par le biais de clients, d'employés ou de partenaires, la LPD révisée s'applique probablement déjà à vous, quel que soit le lieu de votre siège social. Cela est particulièrement pertinent pour les entreprises allemandes et autres entreprises basées dans l'UE qui supposaient que l'alignement sur le RGPD les couvrait entièrement ; les exigences suisses concernant les registres de traitement des données, les transferts transfrontaliers et la notification des violations comportent leurs propres nuances.

Pour les consommateurs individuels, l'avantage pratique est un cadre juridique conçu pour offrir plus de visibilité et de contrôle sur la manière dont vos données personnelles sont utilisées par les entreprises opérant en Suisse ou connectées à celle-ci. Cela n'empêchera pas chaque violation ou tentative de ransomware, mais cela crée une responsabilité plus claire lorsque les choses tournent mal.

Points clés à retenir

Les entreprises ayant un lien quelconque avec des données suisses devraient vérifier si leur programme de conformité RGPD existant satisfait réellement aux exigences spécifiques de la LPD, plutôt que de supposer une équivalence. Les équipes juridiques et informatiques devraient coordonner étroitement leurs actions, car la portée extraterritoriale de la loi signifie que la juridiction seule ne protégera pas une entreprise de ses obligations. Compte tenu des amendes personnelles liées aux violations intentionnelles, la responsabilité de la direction concernant les décisions de traitement des données mérite un processus documenté et auditable. Et compte tenu de l'activité persistante des ransomwares contre les entreprises suisses, les mesures de sécurité techniques devraient être traitées comme une exigence de conformité, et non seulement comme une préoccupation informatique. La loi suisse sur la protection des données fait désormais partie intégrante de l'environnement opérationnel de toute entreprise qui touche aux données personnelles suisses, et prendre de l'avance est bien plus facile que de réagir après qu'un régulateur ou un attaquant force le problème.